CVE-2024-7347

概要

NGINX Open SourceおよびNGINX Plusには、ngx_http_mp4_moduleに脆弱性が存在します。この脆弱性により、攻撃者が特別に細工されたmp4ファイルを使用して、NGINXワーカーメモリを過剰に読み取り（over-read）、その結果としてワーカープロセスを終了させる可能性があります。この問題は、NGINXがngx_http_mp4_moduleを組み込んでビルドされ、かつ設定ファイルでmp4ディレクティブが使用されている場合にのみ影響を受けます。さらに、攻撃が可能となるのは、攻撃者がngx_http_mp4_moduleによる特別に細工されたmp4ファイルの処理をトリガーできる場合に限られます。注記: テクニカルサポート終了（EoTS）に達したソフトウェアバージョンは評価対象外です。

• 1day-archive研究

  最近公開されたCVEに関する技術的な深掘りと根本原因の分析 - パッチのリバースエンジニアリング、概念実証（PoC）の構築、1-dayウィンドウ内での悪用手法の文書化。